Aktywnie wykorzystywana luka w Microsoft SharePoint Server. Administratorzy muszą działać szybko

Amerykańska agencja CISA dodała do swojego katalogu podatności aktywnie wykorzystywaną lukę w Microsoft SharePoint Server. Administratorzy powinni pilnie sprawdzić, czy ich instalacje są zabezpieczone.

Luka CVE-2026-45659 w Microsoft SharePoint Server

Podatność oznaczona jako CVE-2026-45659 dotyczy Microsoft SharePoint Server i została sklasyfikowana jako problem deserializacji niezaufanych danych (CWE-502). Jak informuje serwis GBHackers, luka umożliwia uwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) w podatnej instancji. Oznacza to, że osoba posiadająca ważne poświadczenia może wstrzyknąć złośliwy ładunek podczas deserializacji obiektów, co potencjalnie prowadzi do przejęcia kontroli nad serwerem.

Choć na razie nie ma publicznych dowodów łączących tę podatność z kampaniami ransomware, jej umieszczenie w katalogu KEV (Known Exploited Vulnerabilities) przez CISA oznacza, że aktywnie wykorzystują ją cyberprzestępcy. Dla agencji federalnych USA wyznaczono termin łatania do 4 lipca 2026 roku, ale eksperci zalecają, aby wszystkie organizacje korzystające z lokalnych instalacji SharePoint niezwłocznie wdrożyły poprawki.

Kto jest zagrożony i jakie są skutki ataku

Podatność dotyczy przede wszystkim organizacji, które utrzymują on-premisesowe wdrożenia SharePoint. Atakujący, aby wykorzystać lukę, musi najpierw zdobyć ważne poświadczenia – może to nastąpić poprzez phishing, kradzież haseł lub wykorzystanie wcześniej skompromitowanych kont. Po uzyskaniu dostępu może manipulować treścią SharePoint, przemieszczać się lateralnie po sieci lub ustanowić trwały dostęp w środowisku ofiary.

Eksperci z CISA ostrzegają, że platformy współpracy, takie jak SharePoint, są szczególnie narażone, ponieważ przechowują wrażliwe dane biznesowe i integrują się z szerszą infrastrukturą tożsamości. W swoim komunikacie CISA podkreśla, że organizacje powinny zidentyfikować wszystkie instancje SharePoint dostępne z internetu i priorytetowo wdrożyć łatki. W przypadkach, gdy łatki nie mogą być zastosowane natychmiast, zaleca się tymczasowe wyłączenie zagrożonych usług.

Jak się chronić – praktyczne kroki dla administratorów

Najważniejszym działaniem jest niezwłoczne zastosowanie poprawek dostarczonych przez Microsoft. Administratorzy powinni sprawdzić, czy ich instalacje SharePoint są aktualne i czy nie ma w nich oznak kompromitacji. CISA zaleca również monitorowanie nietypowej aktywności w SharePoint, przeglądanie logów uwierzytelniania pod kątem anomalii oraz wdrożenie silnych kontroli dostępu, w tym uwierzytelniania wieloskładnikowego (MFA).

Warto pamiętać, że luki deserializacyjne są szczególnie niebezpieczne w środowiskach korporacyjnych. Atakujący często łączą je z innymi metodami, takimi jak kradzież poświadczeń czy kampanie phishingowe. Dlatego oprócz łatania, kluczowe jest szkolenie użytkowników w zakresie rozpoznawania prób wyłudzenia danych oraz stosowanie zasady najmniejszych uprawnień.

Organizacje korzystające z chmurowej wersji SharePoint powinny upewnić się, że dostawca usługi wdrożył odpowiednie zabezpieczenia po swojej stronie. W przypadku wątpliwości warto skontaktować się z zespołem wsparcia Microsoftu i zweryfikować, czy środowisko jest chronione przed tą konkretną podatnością.

Co dalej – monitoring i długoterminowe zabezpieczenie

Dodanie CVE-2026-45659 do katalogu KEV to sygnał, że zagrożenie jest realne i aktywne. Administratorzy powinni śledzić komunikaty CISA oraz Microsoftu dotyczące ewentualnych dodatkowych zaleceń. W dłuższej perspektywie warto rozważyć regularne audyty bezpieczeństwa oraz testy penetracyjne, które pomogą wykryć podobne luki zanim zostaną wykorzystane przez atakujących.

Pamiętajmy, że bezpieczeństwo to proces, a nie jednorazowe działanie. Nawet po załataniu tej konkretnej podatności, kluczowe jest utrzymywanie wszystkich systemów w aktualnym stanie oraz budowanie kultury bezpieczeństwa w organizacji.